开源软件安全隐忧：从“easyjson”事件看企业IT选型新趋势
在IT市场中，免费或开源解决方案虽以低成本和高灵活性著称，但其安全性问题日益引发担忧。5月初确认的开源库“on”与俄罗斯VK集团（被誉为该国版Facebook）开发者的关联便是典型案例。由于该库被广泛应用于Kubernetes、Istio和Grafana等关键项目，业界担心地缘政治因素可能借由网络攻击损害金融系统安全。
开源风险加剧：缺乏官方支持成最大短板
ADDEE首席执行官兼创始人罗德里戈·加佐拉（Rodrigo Gazola）指出，“easyjson”事件仅是冰山一角。他强调：“开源技术架构公开透明，攻击者可轻易研究并寻找漏洞。加之大多数开源方案不提供免费官方支持，企业在遭遇危机时往往孤立无援，只能依赖论坛和社区求助。”
Gazola列举了近期多起开源安全事件：
- Ultralytics YOLO入侵：去年12月，该开源AI库因GitHub Actions自动化脚本漏洞遭入侵，恶意代码被注入分发版本；
- NPM拼写错误劫持：2024年10月，黑客在NPM仓库发布数百个名称仿冒合法库的恶意软件包。
成本效益失衡：巴西企业转向本土化商业方案
上述风险导致巴西企业对安全可控且经济实惠的商业解决方案需求激增。Gazola分析称，选用开源工具迫使组织自行处理复杂的系统配置，消耗大量时间精力；若再叠加数据泄露风险，所谓的“低成本”优势将荡然无存。
随着HaloPSA和N-Able等解决方案通过ADDEE独家引入巴西市场，IT服务提供商（MSP）正积极寻求制造商合作。这些产品以本地货币计价，消除了美元汇率波动风险，为依赖长期合同和经常性收入的市场提供了财务可预测性。
“除了免除配置、托管及维护负担外，HaloPSA和N-Able还能确保企业免受开源技术不当使用带来的中断风险。”Gazola解释道。他最后强调，开源项目缺乏针对故障或欺诈的应急计划，这严重阻碍了其采用，促使企业转而寻求更具韧性且符合预算的替代方案。